II SA/Wa 346/25

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Iwona Maciejuk (spr.), Sędzia WSA Joanna Kruszewska-Grońska, Asesor WSA Dorota Kozub-Marciniak, Protokolant socjalista Joanna Głowala po rozpoznaniu na rozprawie w dniu 1 października 2025 r. sprawy ze skargi Rzecznika Praw Pacjenta na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] stycznia 2025 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę. §Sygn. akt II SA/Wa 346/25 UZASADNIENIE Prezes Urzędu Ochrony Danych Osobowych decyzją z dnia [...] stycznia 2025 r. nr [...], na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2024 r. poz. 572) oraz art. 5 ust. 1 lit. a i lit. c, art. 6 ust. 1 oraz art. 58 ust. 2 lit. b Rozporządzenia Parlamentu Europejskiego §i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dziennik Urzędowy UE, L 119, 4 maja 2016, zwanego dalej RODO), po przeprowadzeniu postępowania administracyjnego w sprawie skargi L. B., zwanego dalej także uczestnikiem postępowania, wnioskodawcą, dotyczącej nieprawidłowości w przetwarzaniu jego danych osobowych przez Rzecznika Praw Pacjenta, polegających na udostępnieniu jego danych osobowych na rzecz podmiotu nieuprawnionego, udzielił Rzecznikowi Praw Pacjenta upomnienia za naruszenie art. 5 ust. 1 lit. a, art. 9 ust. 1 RODO poprzez udostępnienie danych osobowych L. B. w zakresie jego imienia, nazwiska, danych kontaktowych oraz danych dotyczących zdrowia na rzecz NZOZ Laboratorium Medyczne [...] sp. j. w S., zwanego dalej także [...]. Prezes UODO w uzasadnieniu wskazał, że do Urzędu Ochrony Danych Osobowych wpłynęła skarga wnioskodawcy, dotycząca nieprawidłowości w przetwarzaniu jego danych osobowych przez Rzecznika Praw Pacjenta polegających na udostępnieniu jego danych osobowych na rzecz podmiotu nieuprawnionego. Wnioskodawca wskazał, że poinformował [....] o nieprawidłowościach związanych z badaniem w punkcie [...]sp. z o.o. w S. przy ul. M. [....], który wszczął postępowanie, ale zwrócił się o wyjaśnienia w sprawie do innego podmiotu, tj. NZOZ Laboratorium Medyczne [...] sp. j., udostępniając jego dane osobowe. Prezes UODO ustalił następujący stan faktyczny: 1. [....] przetwarza dane osobowe wnioskodawcy w związku z wniesionym przez niego wnioskiem dotyczącym nieprawidłowości udzielenia mu świadczenia opieki zdrowotnej. Zakres przetwarzanych danych osobowych obejmuje informacje podane przez wnioskodawcę, tj. imię, nazwisko, adres poczty elektronicznej oraz ogólne informacje o zdrowiu (informacje o wystawienia dla wnioskodawcy skierowania w 2023 r. oraz w 2024 r. przez lekarza określonej w piśmie specjalności) (dowód: wyjaśnienia [....] z [....] września 2024 r. wraz z załącznikami). 2. [....] potwierdził, że udostępnienie danych osobowych wnioskodawcy NZOZ Laboratorium Medyczne [....] [...] sp. j. ([....]) zamiast do [...]sp. z o. o. było wynikiem naruszenia ochrony danych osobowych. [....] wskazał, że wobec stwierdzonego naruszenia zostało przeprowadzone postępowanie wyjaśniające. W ramach postępowania ustalono m. in., że [...]przetwarzał dane osobowe pacjenta przed otrzymaniem ich z Biura [....], nawet w zakresie większym niż przekazane, w związku z tym, że wnioskodawca był pacjentem tego podmiotu leczniczego. [....] ustalił, że przyczyną naruszenia był błąd pracownika, który przekazał wystąpienie do podmiotu leczniczego mającego siedzibę na tej samej ulicy (ul. M.), pod zbliżonym numerem ([....] zamiast [....]). [....] oświadczył, że wbrew twierdzeniom wnioskodawcy było to pierwsze naruszenie ochrony danych osobowych, którego uczestnikiem było [...](dowód: wyjaśnienia [....] z [....] września 2024 r. wraz z załącznikami). 3. [....] wskazał, że celem zminimalizowania ryzyka wystąpienia takich sytuacji w Biurze regularnie odbywają się spotkania [....] wraz z dyrektorami i naczelnikami, w trakcie których omawiane są decyzje Prezesa UODO oraz naruszenia, do jakich dochodzi w innych podmiotach; kierownictwo departamentów przypomina na polecenie [....] o bezpieczeństwie danych osobowych podczas cyklicznych spotkań z podległymi pracownikami. Ponadto podjęta została decyzja o opracowaniu wytycznych dotyczących identyfikacji podmiotu leczniczego przez referenta sprawy oraz wysyłki korespondencji. [....] wskazał również, że w Departamencie Postępowań Wyjaśniających, w którym doszło do naruszenia, obowiązuje procedura prowadzenia postępowań wyjaśniających, w ramach której uregulowana została kwestia udostępniania danych osobowych w związku z gromadzeniem informacji w sprawie złożonych skarg oraz że Inspektor Ochrony Danych pozostaje w stałym kontakcie z pracownikami tego Departamentu, udzielając im bieżącego wsparcia w trakcie realizacji przez nich zadań. [....] wskazał, że z pracownikiem odpowiedzialnym za naruszenie została przeprowadzona rozmowa dyscyplinująca (dowód: wyjaśnienia [....] z [....] września 2024 r. wraz z załącznikami). 4. Ustosunkowując się do zebranego materiału dowodowego [....] podtrzymując stanowisko wyrażone w sprawie podkreślił, że ujawnienie danych wnioskodawcy nastąpiło na rzecz podmiotu leczniczego, który podlega szczególnemu reżimowi prawnemu dotyczącemu poufności danych medycznych oraz w ograniczonym zakresie, węższym niż już posiadanym przez ww. podmiot. [....] wskazał również, że [...]zwróciła wnioskodawcy pismo [....] zawierające jego dane osobowe wraz załącznikami (dowód: wyjaśnienia [....] z [....]listopada 2024 r.). Prezes UODO uzasadniając udzielenie upomnienia [....] wyjaśnił, że RODO określa obowiązki administratora, do których należy przetwarzanie danych osobowych z zachowaniem przesłanek określonych w tym rozporządzeniu. Organ przytoczył pojęcie danych osobowych (art. 4 pkt. 1 RODO). Wskazał, że zgodnie z 4 pkt. 15 RODO dane dotyczące zdrowia oznaczają dane osobowe o zdrowiu fizycznym lub psychicznym osoby fizycznej - w tym o korzystaniu z usług opieki zdrowotnej - ujawniające informacje o stanie jej zdrowia. Dodatkowo w motywie 35 RODO sprecyzowano, że dane osobowe dotyczące zdrowia obejmują swoim zakresem dane ujawniające informacje o przeszłym, obecnym lub przyszłym stanie fizycznym lub psychicznym osoby, której dane dotyczą. Do danych takich należą m.in. wszelkie informacje, na przykład o chorobie, ryzyku choroby, historii medycznej, niezależnie od ich źródła. Na podstawie art. 5 ust. 1 RODO dane osobowe muszą być przetwarzane m.in. zgodnie z prawem (lit. a); zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami (lit. b); adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane (lit. c). Na podstawie art. 5 ust. 2 rozporządzenia, administrator jest odpowiedzialny za przestrzeganie ww. zasad i musi być w stanie wykazać ich przestrzeganie. Prezes UODO wskazał, że przesłanki legalności przetwarzania szczególnych kategorii danych osobowych, w tym danych osobowych dotyczących zdrowia, określone zostały w art. 9 ust. 2 RODO. Jako możliwe przesłanki zezwalające na przetwarzanie przepis ten wymienia między innymi przetwarzanie danych do celów profilaktyki zdrowotnej (...) na podstawie prawa Unii lub prawa państwa członkowskiego z zastrzeżeniami ust. 3 (lit. h) oraz przetwarzanie niezbędne w związku z interesem publicznym w dziedzinie zdrowia publicznego na podstawie prawa Unii Europejskiej lub państwa członkowskiego (lit. i). Przesłanki z art. art. 9 ust. 2 RODO mają charakter autonomiczny, wobec czego aby uznać proces przetwarzania danych osobowych przez administratora za zgodny z prawem, wystarczy spełnienie przez niego jednej z tych przesłanek. Mając powyższe na względzie Prezes UODO wskazał, że ze zgromadzonego w sprawie materiału dowodowego wynika, że doszło do udostępnienia danych osobowych wnioskodawcy w zakresie jego imienia, nazwiska, danych kontaktowych oraz informacji o leczeniu (w tym, o badaniu krwi zleconym przez urologa oraz fakcie jego wykonania). Na powyższe wskazują zarówno wyjaśnienia [....] oraz skarga wnioskodawcy wraz z załącznikami. Udostępnienie to nie znajdowało oparcia w żadnej z przesłanek art. 9 ust. 2 RODO. Prezes UODO stwierdził, że [....], nie dopełnił obowiązków, które spoczywają na nim w związku z przepisami o ochronie danych osobowych umożliwiając dostęp do danych osobowych wnioskodawcy podmiotowi nieuprawnionemu - [....], co stanowi naruszenie art. 5 ust. 1 lit. a i art. 9 ust. 1 RODO. Organ wyjaśnił, że postępowanie administracyjne prowadzone przez niego służy kontroli zgodności przetwarzania danych z przepisami o ochronie danych osobowych i jest ukierunkowane na wydanie decyzji administracyjnej przywracającej stan zgodny z prawem. Zaznaczył, że jeśli proces przetwarzania danych osobowych aktualnie nie istnieje, nie ma możliwości dokonania oceny jego aktualnej zgodności z prawem, co uniemożliwia ustalenie potrzeby przywrócenia stanu zgodnego z prawem. Zgodnie natomiast z art. 58 ust. 2 lit. b RODO organ nadzorczy może udzielić upomnień administratorowi lub podmiotowi przetwarzającemu w przypadku naruszenia przepisów niniejszego rozporządzenia przez operacje przetwarzania. Prezes UODO wskazał, że zgodnie z art. 58 ust. 2 lit. b RODO organ nadzorczy może udzielić upomnień administratorowi lub podmiotowi przetwarzającemu w przypadku naruszenia przepisów RODO przez operacje przetwarzania. W przedmiotowej sprawie Prezes UODO, biorąc pod uwagę jednorazowy i nieodwracalny charakter naruszenia zadecydował, że wystarczającym jest skorzystanie z uprawnienia przewidzianego w art. 58 ust. 2 lit. b RODO i udzielenie upomnienia [....] za naruszenie art. 5 ust. 1 lit. a oraz art. 9 ust. 1 RODO polegające na udostępnieniu danych osobowych wnioskodawcy w zakresie imienia, nazwiska, danych kontaktowych oraz danych dotyczących zdrowia na rzecz podmiotu nieuprawnionego. Decyzja Prezesa UODO z dnia [....] stycznia 2025 r. nr [....] stała się przedmiotem skargi Rzecznika Praw Pacjenta do Wojewódzkiego Sądu Administracyjnego w Warszawie. Skarżący zarzucił naruszenie przepisów postępowania: art. 7 w zw. z art. 77 oraz art. 80 k.p.a. w związku z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych polegające na niepodjęciu wszystkich czynności niezbędnych do dokładnego wyjaśnienia oraz załatwienia sprawy, niewyczerpującym zebraniu i rozpatrzeniu materiału dowodowego, braku wszechstronnej i merytorycznej oceny zgromadzonego materiału dowodowego co skutkowało wydaniem upomnienia skarżącemu za naruszenie art. 5 ust. 1 lit. a, art. 9 ust. 1 RODO, poprzez udostępnienie danych osobowych L. B. w zakresie jego imienia, nazwiska, danych kontaktowych oraz danych dotyczących zdrowia na rzecz NZOZ Laboratorium [...] sp. j., pomimo, że: skarżący wskazywał w swoich pismach w toku postępowania administracyjnego, że jako administrator danych wprowadził w Biurze Rzecznika Praw Pacjenta odpowiednie środki techniczne i organizacyjne, aby zapewnić stopień bezpieczeństwa odpowiadający ryzyku naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie wystąpienia i wadze, a udostępnienie danych wnioskodawcy w zakresie jego imienia, nazwiska, danych kontaktowych oraz informacji o leczeniu (w tym, że badanie krwi zlecone przez urologa oraz fakcie jego wykonania) wynikało z błędu pracownika Biura Rzecznika Praw Pacjenta, na którego skarżący nie miał wpływu, a tego rodzaju błędy zawsze będą się zdarzać, mimo wszelakich środków bezpieczeństwa, co prowadzi do wniosku, że mimo podjęcia takich działań, skarżący zawsze w przyszłości zostanie przez Prezesa UODO ukarany; NZOZ Laboratorium [...] sp. j. przetwarzał dane osobowe wnioskodawcy przed ich udostępnieniem i to w zakresie istotnie szerszym niż ten, jaki wynika z korespondencji otrzymanej z Biura Rzecznika Praw Pacjenta, a tym samym [...]nie był podmiotem nieuprawnionym do przetwarzania tych danych. Skarżący zarzucił naruszenie przepisów prawa materialnego, tj. art. 58 ust. 2 lit. b RODO w związku z art. 5 ust. 1 lit. a, art. 6 ust. 1 RODO przez ich niewłaściwe zastosowanie i uznanie, że skorzystanie z uprawnienia naprawczego w postaci upomnienia jest zasadne, pomimo że skarżący udostępnił dane osobowe innemu podmiotowi, który dane te już posiadał na podstawie przepisów prawa, a w konsekwencji nie doszło do naruszenia praw lub wolności osoby fizycznej; art. 24 ust. 1 i 2 oraz art. 32 ust. 1 i 2 RODO przez ich niezastosowanie do ustalonego w sprawie stanu faktycznego, które to przepisy powinny być zastosowane przy ocenie, czy skarżący wdrożył odpowiednie środki techniczne i organizacyjne w celu zapewnienia stopnia bezpieczeństwa odpowiadającego ryzyku naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie wystąpienia i wadze. Skarżący wniósł o uchylenie zaskarżonej decyzji w całości, ewentualnie o uchylenie zaskarżonej decyzji w całości i umorzenie postępowania w całości; zasądzenie od Prezesa UODO na rzecz skarżącego zwrotu kosztów postępowania, w tym kosztów zastępstwa procesowego, według norm przepisanych. Skarżący w uzasadnieniu podniósł, że organ pominął przy wydaniu zaskarżonej decyzji okoliczności przedstawione przez skarżącego. W piśmie z dnia [....] września 2024 r. skarżący argumentował, że celem zminimalizowania ryzyka wystąpienia takich sytuacji w Biurze regularnie odbywają się spotkania [....] wraz z dyrektorami i naczelnikami, w trakcie których omawiane są decyzje Prezesa UODO oraz naruszenia, do jakich dochodzi w innych podmiotach, o czym informują media. Dodatkowo kierownictwo departamentów przypomina na polecenie [....] o bezpieczeństwie danych osobowych podczas cyklicznych spotkań z podległymi pracownikami. W Departamencie Postępowań Wyjaśniających, w którym doszło do naruszenia, obowiązuje procedura prowadzenia postępowań wyjaśniających, w ramach której uregulowana jest kwestia udostępniania danych osobowych w związku z gromadzeniem informacji w sprawie złożonych skarg. Inspektor Ochrony Danych pozostaje w stałym kontakcie z pracownikami tego Departamentu, udzielając im bieżącego wsparcia w trakcie realizacji przez nich zadań. Ponadto zarządzeniem nr [....] [....] z dnia [....] maja 2022 r. wprowadzono "Politykę Ochrony Danych Osobowych w Biurze Rzecznika Praw Pacjenta" oraz "Instrukcję zarządzania systemem informatycznym służącym do przetwarzania danych osobowych w Biurze Rzecznika Praw Pacjenta", z którą zapoznali się wszyscy pracownicy Biura [....]. Skarżący dodał, że wszyscy nowozatrudnieni pracownicy w ramach szkoleń onboardingowych (adaptacyjnych, wprowadzających do pracy) odbywają szkolenie z ochrony danych osobowych oraz szkolenie z bezpieczeństwa informacji w Biurze Rzecznika Praw Pacjenta. Szkolenie z ochrony danych osobowych prowadzone jest przez Inspektora Ochrony Danych - w formie nagranego materiału szkoleniowego (czas nagrania lh:12 min). Po szkoleniu każdy nowozatrudniony pracownik ma możliwość konsultacji z [....] Dodatkowo w Intranecie (wewnętrzna platforma Rzecznika Praw Pacjenta) zamieszczone są materiały dotyczące ochrony danych osobowych. Szkolenie z bezpieczeństwa informacji w B [....] prowadzone jest przez pracownika odpowiedzialnego za obszar bezpieczeństwa informacji, w formie stacjonarnej lub online w czasie rzeczywistym. Czas szkolenia przewidziany jest na ok. 30 min - 45 min. W Intranecie zamieszczone są wewnętrzne regulacje i informacje dot. systemu zarzadzania bezpieczeństwem informacji (SZBI). Skarżący wyjaśnił, że każdy z pracowników po zapoznaniu się z materiałami i odbyciu szkoleń podpisuje stosowne oświadczenia, które przechowywane są w aktach osobowych pracownika. W 2024 r. wszyscy pracownicy Biura [....] odbyli szkolenie pt.: "Zapobieganie zagrożeniom z obszaru cyberbezpieczeństwa - podstawowe zasady pracy w urzędzie"- szkolenie elearningowe na platformie KPRM. Do odbycia tego szkolenia zostają zobowiązani również nowozatrudnieni pracownicy w pierwszych miesiącach zatrudnienia. [....] lutego 2024 r. na wewnętrznej platformie elearningowej zostało zamieszczone szkolenie: "Naruszenia ochrony danych osobowych w Biurze Rzecznika Praw Pacjenta" (113 osób zapoznało się z Kursem). Również w roku 2024 (termin udostępnienia kursu 31.10.2024) na wewnętrznej platformie elearningowej zostało zamieszczone szkolenie "Zasady udostępniania danych osobowych" (zakończone testem) z obowiązkiem jego odbycia przez wszystkich zatrudnionych pracowników (137 osób zapoznało się z Kursem). Nowozatrudnieni pracownicy są również zobowiązani do odbycia tego szkolenia. Jednocześnie w dacie incydentu w Biurze [....] obowiązywała również Metodyka postępowań wyjaśniających i wystąpień do podmiotów leczniczych, w której m.in. szczegółowo opisano etapy identyfikowania podmiotu leczniczego właściwego w sprawie złożonej skargi. Po incydencie dokonano dodatkowej zmiany w ww. dokumencie i jeszcze bardziej rozszerzono ten wątek i elementy weryfikacji (kopia w załączeniu). Metodyka została zaprezentowana wszystkim dyrektorom komórek organizacyjnych Biura, którzy następnie omówili ją podczas spotkań z podległymi pracownikami. Dodatkowo szkolenie zostało nagrane, przekazane wszystkim pracownikom Biura z obowiązkiem zdania testu po jego zakończeniu, dotyczące udostępniania dokumentów. Wszyscy pracownicy Biura (z wyjątkiem długotrwale nieobecnych) odbyli szkolenie i zdali test. Powyższe działanie świadczy o szczególnej staranności i właściwej reakcji na zdarzenie będące wynikiem błędu ludzkiego, natomiast inne niezbędne procedury (Polityka Ochrony Danych Osobowych w Biurze Rzecznika Praw Pacjenta), szkolenia, czy działania organizacyjne w dniu tego zdarzenia funkcjonowały. Mając powyższe na względzie, skarżący uznał, iż organ nie dokonał oceny stosowanych u skarżącego mechanizmów i procedur zapobiegających naruszeniom przepisów o ochronie danych osobowych. Podkreślił, że przekazanie danych do [...]miało charakter incydentalny. Wynikało z błędu pracownika spowodowanego zbliżonymi danymi adresowymi dwóch podmiotów leczniczych. Organ zatem powinien dokonać oceny wypełnienia przez skarżącego obowiązków wynikających z art. 24 i 32 RODO. Zgodnie z utrwalonym orzecznictwem sądów administracyjnych wypełnienie wymogów wskazanych w art. 32 RODO uniemożliwia zastosowanie sankcji administracyjnej za naruszenie przepisów o ochronie danych osobowych. Ma zatem znaczenie, czy podmiot dochował odpowiedniego, w danych okolicznościach, standardu środków bezpieczeństwa (por. wyrok NSA z dnia 9 lutego 2023 r. sygn. akt III OSK 2945/21). Skarżący zwrócił uwagę, że [...]przetwarzał dane osobowe pacjenta przed otrzymaniem ich z Biura [....], nawet w zakresie większym niż przekazane przez skarżącego. Wnioskodawca był bowiem pacjentem tego podmiotu leczniczego, zatem udostępnienie tych danych nie może wypełnić naruszenia art. 5 ust. 1 lit. a, art. 9 ust. 1 RODO, gdyż [....] już był podmiotem uprawnionym do ich przetwarzania, a w szczególności był - odbiorcą zaufanym (podmiot leczniczy). Nie dochodzi bowiem do zmiany celu i sposobu przetwarzania danych osobowych w powyższym podmiocie. Dane te [...]przetwarza w celu zapewnienia opieki zdrowotnej. Skarżący wskazał, że z Pewnością udostępnienie danych osobowych osobie fizycznej nieuprawnionemu podmiotowi jest operacją przetwarzania skutkującą naruszeniem ochrony danych osobowych, jednak sankcje administracyjne, w tym upomnienie, nie mogą pomijać pełnego kontekstu danego zdarzenia. Rzecznik Praw Pacjenta wykazał w postępowaniu administracyjnym prowadzonym przez Prezesa Urzędu Ochrony Danych Osobowych (nie zostało to bowiem zakwestionowane w decyzji), że podjął wszelkie możliwe działania, aby nie dochodziło do naruszeń poufności danych osobowych. Naruszeń tych nie można jednak całkowicie wykluczyć, na co wpływ ma wiele czynników, które odpowiednimi działaniami można ograniczać. Skarżący podniósł również, że organ nie wziął pod uwagę przedstawionej mu liczby spraw, czy skali wysyłanej korespondencji, przy której nie sposób uniknąć omyłki (błąd ludzki). Skarżący wskazał na liczba sygnałów/wniosków/skarg skierowanych do Rzecznika w poszczególnych latach, liczbę procedowanych postępowań wyjaśniających; liczbę procedowanych postępowań w przedmiocie naruszenia zbiorowych praw pacjentów, liczbę spraw rozpoznanych w zakresie zdrowia psychicznego. Podkreślił, że pomimo wszystkich działań [....] pracownik biura popełnił błąd, a zatem nie sposób uznać, że zaskarżona decyzja ma swoje uzasadnienie w takim stanie rzeczy. W ocenie skarżącego w sprawie nie doszło do naruszenia praw lub wolności osoby fizycznej. Błędny odbiorca posiadał informacje o swoim pacjencie i to w zakresie szerszym niż objęty przedmiotowym zdarzeniem. Prezes UODO w odpowiedzi na skargę wniósł o jej oddalenie, podtrzymując stanowisko wyrażone w zaskarżone decyzji. Organ odniósł się do zarzutów skargi. Podniósł, że w sprawie przedsięwziął wszelkie przewidziane prawem czynności służące wnikliwemu i rzetelnemu ustaleniu okoliczności faktycznych przedmiotowej sprawy i zebraniu materiału dowodowego potrzebnego do rozstrzygnięcia jej decyzją administracyjną. Wskazał, że zaskarżona decyzja została wydana w oparciu o wystarczający materiał dowodowy, pozyskany w wyniku postępowania administracyjnego przeprowadzonego zgodnie z zasadami określonymi w k.p.a. Wskazał też m.in., że wbrew twierdzeniom [....], udzielając [....] upomnienia organ wziął pod uwagę podjęte przez [....] działania w związku z naruszeniem oraz stosowane w podmiocie zabezpieczenia danych osobowych ustalone w toku postępowania oraz charakter naruszenia (w tym kategorie udostępnionych danych oraz podmiot na rzecz którego udostępniono dane), co skłoniło organ do udzielenia [....] tylko upomnienia, a nie również kary pieniężnej (art. 58 ust. 2 lit. i RODO). Prezes UODO odnosząc się do uwag [....], co do jego odpowiedzialności za naruszenie ochrony danych osobowych wnioskodawcy w związku z błędem pracownika Biura [....] wskazał, że zgodnie z art. 29 RODO podmiot przetwarzający oraz każda osoba działająca z upoważnienia administratora lub podmiotu przetwarzającego i mająca dostęp do danych osobowych przetwarzają je wyłącznie na polecenie administratora, chyba, że wymaga tego prawo Unii lub prawo państwa członkowskiego. Tym samym [....] nie może zostać zwolniony z odpowiedzialności za stwierdzone przez organ naruszenie. Jak wskazał organ w zaskarżonej decyzji ww. udostępnienie danych wnioskodawcy przez [....] nie znajdowało oparcia w żadnej z przesłanek art. 9 ust. 2 RODO. Na rozprawie przed Wojewódzkim Sądem Administracyjnym w Warszawie w dniu [....] października 2025 r. uczestnik postępowania L. B. przychylił się do stanowiska organu i wniósł o oddalenie skargi. W ocenie uczestnika postępowania działanie [....] nie było właściwe w tej sprawie, doszło bowiem do nieuprawnionego przekazania jego danych osobowych i innych ważnych informacji. W ocenie uczestnika postępowania pracodawca administrator odpowiada za pracownika. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje. Zgodnie z art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (t.j. Dz. U. z 2024 r. poz. 1267), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, przy czym kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej. Sąd rozstrzyga w granicach danej sprawy, nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną (art. 134 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2024 r., poz. 935)), zwanej dalej p.p.s.a. W świetle powołanych przepisów, Wojewódzki Sąd Administracyjny w Warszawie, w zakresie swojej właściwości, ocenia zaskarżoną decyzję administracyjną, postanowienie, czy też inny akt lub czynność z zakresu administracji publicznej dotyczącą uprawnień lub obowiązków wynikających z przepisów prawa, z punktu widzenia ich zgodności z prawem materialnym i przepisami postępowania administracyjnego, według stanu faktycznego i prawnego obowiązującego w dacie wydania tego aktu lub podjęcia spornej czynności. Chodzi więc o kontrolę aktów lub czynności z zakresu administracji publicznej dokonywaną wyłącznie pod względem ich zgodności z prawem materialnym i przepisami procesowymi, nie zaś według kryteriów słuszności, czy też zgodności z zasadami współżycia społecznego. W ocenie Sądu, analizowana pod tym kątem skarga nie zasługuje na uwzględnienie, albowiem zaskarżona decyzja Prezesa UODO nie narusza przepisów prawa w stopniu, który mógł mieć istotny wpływ na wynik sprawy. Sąd stwierdził, że Prezes UODO, wydając zaskarżoną decyzję nie dopuścił się naruszenia zarówno wiążących Polskę przepisów prawa europejskiego, jak i regulacji prawa krajowego, w tym k.p.a., w stopniu który mógł mieć istotny wpływ na końcowy wynik sprawy zakończonej wydaniem zaskarżonej decyzji. W sprawie tej Sąd dokonując oceny legalności zaskarżonej decyzji Prezesa UODO z dnia [....] stycznia 2025 r. zobowiązany był – co do zasady – zbadać jej zgodność przede wszystkim z przepisami prawa europejskiego, w tym w szczególności z regulacjami RODO. Prezes Urzędu Ochrony Danych Osobowych jest organem właściwym w sprawie ochrony danych osobowych (art. 34 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych) i jednocześnie organem nadzorczym, w rozumieniu RODO (art. 34 ust. 2 u.o.d.o.). Jak stanowi art. 57 ust. 1 lit. a i lit. f RODO, bez uszczerbku dla innych zadań określonych na mocy niniejszego rozporządzenia, każdy organ nadzorczy na swoim terytorium monitoruje i egzekwuje stosowanie niniejszego rozporządzenia, a także rozpatruje skargi wniesione przez osobę, której dane dotyczą. W sprawie tej w ocenie Sądu, wbrew zarzutom skargi, organ ochrony danych osobowych, wydając zaskarżoną decyzję, nie dopuścił się - mogącego mieć istotny wpływ na wynik sprawy - naruszenia przepisów procedury administracyjnej, a w szczególności organ nie naruszył art. 7 k.p.a., art. 77 § 1 k.p.a. i art. 80 k.p.a. Uzasadnienie decyzji mogłoby w ocenie Sądu zawierać szerszą argumentację, w tym wskazywać dlaczego organ nie nałożył żądanej przez wnioskodawcę kary pieniężnej, a zastosował upomnienie, jednakże to uchybienie przepisowi art. 107 § 3 k.p.a. w stanie faktycznym tej sprawy, nie dawało podstaw do uchylenia zaskarżonej decyzji. Organ ustalił w tej sprawie wszystkie okoliczności istotne dla prawidłowego i pełnego rozstrzygnięcia niniejszej sprawy, w granicach prowadzonego postępowania, wyznaczonych skargą uczestnika postępowania. Stan faktyczny w sprawie nie był sporny. Prezes UODO dokonał zdaniem Sądu właściwej oceny zebranego w sprawie materiału dowodowego, dokonując tej oceny w kontekście prawidłowo zastosowanych przepisów RODO. Sąd w działaniach Prezesa Urzędu Ochrony Danych Osobowych, jako organu administracji publicznej, w tej sprawie Sąd nie stwierdził nieprawidłowości, (w tym w zakresie dokonanych ustaleń stanu faktycznego), które mogłyby mieć jakikolwiek wpływ na wynik tej sprawy. Prezes UODO wyjaśnił w uzasadnieniu decyzji w starczającym stopniu i klarownie motywy podjętego rozstrzygnięcia, wskazał powody, jakie legły u podstaw decyzji. Zdaniem Sądu argumentacja organu jest w tym zakresie wyczerpująca i wyjaśnia dlaczego organ udzielił Rzecznikowi Praw Pacjenta upomnienia w niniejszej sprawie. Celem postępowania administracyjnego prowadzonego przed Prezesem UODO jest w tym przypadku rozstrzygnięcie sprawy administracyjnej dotyczącej konkretnej osoby (podmiotu danych). Jednym ze stadiów postępowania jest stadium wyjaśniające - pozwalające ustalić dokładny stan faktyczny w danej sprawie. W wyniku postępowania wyjaśniającego organ administracji publicznej ma dojść do wskazanej w art. 7 k.p.a. prawdy obiektywnej, co czyni za pomocą środków dowodowych. W ocenie Sądu zastosowane przez Prezesa UODO w tej sprawie postępowanie wyjaśniające było wystarczające do dokonania niezbędnych ustaleń faktycznych. Ustalenia te są bezsporne. W sprawie nie jest kwestionowane ustalenie, że doszło do udostępnienia przez Rzecznika Praw Pacjenta danych osobowych uczestnika postępowania, tj. danych L. B. w zakresie jego imienia, nazwiska, danych kontaktowych oraz danych dotyczących zdrowia na rzecz NZOZ Laboratorium [...] sp. j. w S.. Uczestnik jednoznacznie wskazywał w swojej skardze do Prezesa UODO, że poinformował [....] o nieprawidłowościach związanych z badaniem laboratoryjnym prowadzonym w punkcie [...]sp. z o.o. w S., jednakże [....] wystąpił o wyjaśnienia nie do ww. punktu pobrań, ale do innego podmiotu, tj. do NZOZ Laboratorium [...] sp. j. w S.. Wnioskodawca podkreślił, że w wystąpieniu tym [....] ujawnił jego dane osobowe (pismo uczestnika do Prezesa UODO z dnia [....] sierpnia 2024 r.). Z okoliczności sprawy jednoznacznie wynika, że [....] udostępnił dane osobowe uczestnika do NZOZ Laboratorium [...][...] sp. j. ([....]) zamiast do [...]sp. z o. o. W ocenie Sądu w sprawie jest też bezsporne i ustalone, że kwestionowane udostępnienie przez [....] na rzecz wymienionego wyżej podmiotu, tj. [...]nastąpiło bez podstawy prawnej. Udostępnienie w zakresie danych o stanie zdrowia nie miało podstawy w art. 9 ust. 2 RODO. Odnosząc się do treści skargi wskazania wymaga, że Prezes UODO nie podważał w decyzji stwierdzeń [....], że wobec stwierdzonego naruszenia zostało przeprowadzone postępowanie wyjaśniające w Biurze [....], nie kwestionował też wyjaśnień [....] o prowadzonych w tym podmiocie szkoleniach z zakresu ochrony danych osobowych. Te ustalenia faktyczne, przytoczone w decyzji, których nie ma potrzeby w tym miejscu powielać, nie były przez Prezesa UODO podważane. Wszystkie podnoszone wyżej przez [....] kwestie nie zmieniają zasadniczego i prawidłowego stwierdzenia Prezesa UODO w tej sprawie, że do naruszenia RODO doszło. Sąd podziela ustalenie organu, że w sprawie – w odniesieniu do udostępnienia przez [....] na rzecz wskazanego w decyzji podmiotu, tj. [...]– nie została spełniona żadna z przesłanek legalności przetwarzania danych osobowych uczestnika postepowania wymieniona w art. 9 ust. 2 RODO. Dla przypomnienia wskazać należy, że zgodnie z art. 4 pkt 1 RODO, dane osobowe oznaczają wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej ("osobie, której dane dotyczą"); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej. Z motywu 26 RODO wynika, że zasady ochrony danych powinny mieć zastosowanie do wszelkich informacji o zidentyfikowanych lub możliwych do zidentyfikowania osobach fizycznych. Pseudonimizowane dane osobowe, które przy użyciu dodatkowych informacji można przypisać osobie fizycznej, należy uznać za informacje o możliwej do zidentyfikowania osobie fizycznej. Aby stwierdzić, czy dana osoba fizyczna jest możliwa do zidentyfikowania, należy wziąć pod uwagę wszelkie rozsądnie prawdopodobne sposoby (w tym wyodrębnienie wpisów dotyczących tej samej osoby), w stosunku do których istnieje uzasadnione prawdopodobieństwo, iż zostaną wykorzystane przez administratora lub inną osobę w celu bezpośredniego lub pośredniego zidentyfikowania osoby fizycznej. Aby stwierdzić, czy dany sposób może być z uzasadnionym prawdopodobieństwem wykorzystany do zidentyfikowania danej osoby, należy wziąć pod uwagę wszelkie obiektywne czynniki, takie jak koszt i czas potrzebne do jej zidentyfikowania, oraz uwzględnić technologię dostępną w momencie przetwarzania danych, jak i postęp technologiczny. Zasady ochrony danych nie powinny więc mieć zastosowania do informacji anonimowych, czyli informacji, które nie wiążą się ze zidentyfikowaną lub możliwą do zidentyfikowania osobą fizyczną, ani do danych osobowych zanonimizowanych w taki sposób, że osób, których dane dotyczą, w ogóle nie można zidentyfikować lub już nie można zidentyfikować. [...] Rozporządzenie nie dotyczy więc przetwarzania takich anonimowych informacji, w tym przetwarzania do celów statystycznych lub naukowych. Stosownie do art. 4 pkt 2 RODO, przetwarzanie oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie. Podkreślenia wymaga, że informacje (dane) o stanie zdrowia każdego człowieka należą do danych szczególnie chronionych. Zgodnie z motywem 35 RODO, do danych osobowych dotyczących zdrowia należy zaliczyć wszystkie dane o stanie zdrowia osoby, której dane dotyczą, ujawniające informacje o przeszłym, obecnym lub przyszłym stanie fizycznego lub psychicznego zdrowia osoby, której dane dotyczą. Do danych takich należą informacje o danej osobie fizycznej zbierane podczas jej rejestracji do usług opieki zdrowotnej lub podczas świadczenia jej usług opieki zdrowotnej, jak to określa dyrektywa Parlamentu Europejskiego i Rady 2011/24/UE; numer, symbol lub oznaczenie przypisane danej osobie fizycznej w celu jednoznacznego zidentyfikowania tej osoby fizycznej do celów zdrowotnych; informacje pochodzące z badań laboratoryjnych lub lekarskich części ciała lub płynów ustrojowych, w tym danych genetycznych i próbek biologicznych; oraz wszelkie informacje, na przykład o chorobie, niepełnosprawności, ryzyku choroby, historii medycznej, leczeniu klinicznym lub stanie fizjologicznym lub biomedycznym osoby, której dane dotyczą, niezależnie od ich źródła, którym może być na przykład lekarz lub inny pracownik służby zdrowia, szpital, urządzenie medyczne lub badanie diagnostyczne in vitro. Dane o stanie zdrowia objęte są ochroną prawną życia prywatnego. Prawo to zaś należy do praw osobistych ujętych w art. 47 Konstytucji Rzeczypospolitej Polskiej. W sprawie nie ma zdaniem Sądu wątpliwości, że dane uczestnika dotyczące zdrowia, które udostępnione zostały przez [....] stanowią dane osobowe, albowiem wprost dotyczyły zidentyfikowanej osoby fizycznej. Przetwarzanie danych zwykłych regulowane jest w art. 6 ust. 1 RODO. Natomiast przetwarzanie "szczególnej kategorii danych" regulowane jest w art. 9 RODO. W art. 9 ust. 1 RODO został sformułowany ogólny zakaz przetwarzania danych osobowych dotyczących m.in. zdrowia. Zgodnie z tym przepisem, zabrania się przetwarzania danych osobowych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz przetwarzania danych genetycznych, danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej lub danych dotyczących zdrowia, seksualności lub orientacji seksualnej tej osoby. Zakaz ten nie ma zastosowania o ile zostanie spełniony jeden z warunków określony w art. 9 ust. 2 RODO. Zgodnie z art. 9 ust. 2 RODO, ust. 1 nie ma zastosowania, jeżeli spełniony jest jeden z poniższych warunków: a) osoba, której dane dotyczą, wyraziła wyraźną zgodę na przetwarzanie tych danych osobowych w jednym lub kilku konkretnych celach, chyba że prawo Unii lub prawo państwa członkowskiego przewidują, iż osoba, której dane dotyczą, nie może uchylić zakazu, o którym mowa w ust. 1; b) przetwarzanie jest niezbędne do wypełnienia obowiązków i wykonywania szczególnych praw przez administratora lub osobę, której dane dotyczą, w dziedzinie prawa pracy, zabezpieczenia społecznego i ochrony socjalnej, o ile jest to dozwolone prawem Unii lub prawem państwa członkowskiego, lub porozumieniem zbiorowym na mocy prawa państwa członkowskiego przewidującymi odpowiednie zabezpieczenia praw podstawowych i interesów osoby, której dane dotyczą; c) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej, a osoba, której dane dotyczą, jest fizycznie lub prawnie niezdolna do wyrażenia zgody; d) przetwarzania dokonuje się w ramach uprawnionej działalności prowadzonej z zachowaniem odpowiednich zabezpieczeń przez fundację, stowarzyszenie lub inny niezarobkowy podmiot o celach politycznych, światopoglądowych, religijnych lub związkowych, pod warunkiem że przetwarzanie dotyczy wyłącznie członków lub byłych członków tego podmiotu lub osób utrzymujących z nim stałe kontakty w związku z jego celami oraz że dane osobowe nie są ujawniane poza tym podmiotem bez zgody osób, których dane dotyczą; e) przetwarzanie dotyczy danych osobowych w sposób oczywisty upublicznionych przez osobę, której dane dotyczą; f) przetwarzanie jest niezbędne do ustalenia, dochodzenia lub obrony roszczeń lub w ramach sprawowania wymiaru sprawiedliwości przez sądy; g) przetwarzanie jest niezbędne ze względów związanych z ważnym interesem publicznym, na podstawie prawa Unii lub prawa państwa członkowskiego, które są proporcjonalne do wyznaczonego celu, nie naruszają istoty prawa do ochrony danych i przewidują odpowiednie i konkretne środki ochrony praw podstawowych i interesów osoby, której dane dotyczą; h) przetwarzanie jest niezbędne do celów profilaktyki zdrowotnej lub medycyny pracy, do oceny zdolności pracownika do pracy, diagnozy medycznej, zapewnienia opieki zdrowotnej lub zabezpieczenia społecznego, leczenia lub zarządzania systemami i usługami opieki zdrowotnej lub zabezpieczenia społecznego na podstawie prawa Unii lub prawa państwa członkowskiego lub zgodnie z umową z pracownikiem służby zdrowia i z zastrzeżeniem warunków i zabezpieczeń, o których mowa w ust. 3; i) przetwarzanie jest niezbędne ze względów związanych z interesem publicznym w dziedzinie zdrowia publicznego, takich jak ochrona przed poważnymi transgranicznymi zagrożeniami zdrowotnymi lub zapewnienie wysokich standardów jakości i bezpieczeństwa opieki zdrowotnej oraz produktów leczniczych lub wyrobów medycznych, na podstawie prawa Unii lub prawa państwa członkowskiego, które przewidują odpowiednie, konkretne środki ochrony praw i wolności osób, których dane dotyczą, w szczególności tajemnicę zawodową; j) przetwarzanie jest niezbędne do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych zgodnie z art. 89 ust. 1, na podstawie prawa Unii lub prawa państwa członkowskiego, które są proporcjonalne do wyznaczonego celu, nie naruszają istoty prawa do ochrony danych i przewidują odpowiednie, konkretne środki ochrony praw podstawowych i interesów osoby, której dane dotyczą. Stosownie do ust. 3, dane osobowe, o których mowa w ust. 1, mogą być przetwarzane do celów, o których mowa w ust. 2 lit. h), jeżeli są przetwarzane przez - lub na odpowiedzialność - pracownika podlegającego obowiązkowi zachowania tajemnicy zawodowej na mocy prawa Unii lub prawa państwa członkowskiego, lub przepisów ustanowionych przez właściwe organy krajowe lub przez inną osobę również podlegającą obowiązkowi zachowania tajemnicy zawodowej na mocy prawa Unii lub prawa państwa członkowskiego, lub przepisów ustanowionych przez właściwe organy krajowe. Zgodzić należy się z Prezesem UODO, że przesłanki z art. 9 ust. 2 RODO mają charakter autonomiczny, wobec czego aby uznać proces przetwarzania danych osobowych przez administratora za zgodny z prawem, wystarczy spełnienie przez niego jednej z tych przesłanek. W ocenie Sądu w sprawie bezsporne jest, że w tym przypadku nie została spełniona żadna z wymienionych przesłanek, nie kwestionował tego sam [....]. W szczególności nie mamy w tym przypadku spełnionej przesłanki z art. 9 ust. 2 lit. h, tj. h) przetwarzanie (ujawnienie danych podmiotowi innemu niż ten, którego wskazał wnioskodawca i do którego [....] winien się zwrócić o wyjaśnienia) nie było niezbędne do celów profilaktyki zdrowotnej lub medycyny pracy, do oceny zdolności pracownika do pracy, diagnozy medycznej, zapewnienia opieki zdrowotnej lub zabezpieczenia społecznego, leczenia lub zarządzania systemami i usługami opieki zdrowotnej lub zabezpieczenia społecznego na podstawie prawa Unii lub prawa państwa członkowskiego lub zgodnie z umową z pracownikiem służby zdrowia i z zastrzeżeniem warunków i zabezpieczeń, o których mowa w ust. 3, jak też nie mamy spełnionej przesłanki zgody osoby, której dane o stanie zdrowia dotyczą. Wnioskodawca wyraźnie określił bowiem, w żądaniu skierowanym do [....], podmiot, do którego odnosił zastrzeżenia dotyczące nieprawidłowości związanych z badaniem laboratoryjnym. Podkreślenia wymaga przy tym, że Rzecznik Praw Pacjenta ustanowiony został na mocy art. 41 ustawy z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta (t.j. Dz. U. z 2024 r., poz. 581), w celu ochrony praw pacjenta określonych w ustawie. W kontekście stanu faktycznego niniejszej sprawy, w której doszło do ujawnienia przez [....] danych o stanie zdrowia uczestnika postępowania, podkreślenia wymaga, że jednym z praw pacjenta określonych w powołanej ustawie, do ochrony którego ustanowiony został [....], jest zachowanie w tajemnicy przez osoby wykonujące zawód medyczny, w tym udzielające mu świadczeń zdrowotnych, informacji z nim związanych, a uzyskanych w związku z wykonywaniem zawodu medycznego. W szczególności chodzi o informacje związane ze stanem zdrowia pacjenta (art. 13, art. 14 powołanej ustawy). Z art. 47a ust. 1 powołanej ustawy wynika, że Rzecznik może przetwarzać wszelkie informacje, w tym dane osobowe niezbędne do realizacji swoich ustawowych zadań. Jednakże, ustawodawca w art. 47a ust. 2 ustawy, wyraźnie zastrzegł, że Rzecznik przetwarza dane osobowe, o których mowa w art. 9 ust. 1 rozporządzenia 2016/679, wyłącznie w celu ochrony praw pacjentów przy realizacji zadań, o których mowa w art. 47 ust. 1 pkt 1-3b i 7-10a. W świetle powyższego, udostępnienie przez [....], przy wykonywaniu ustawowych zadań, danych osobowych uczestnika postępowania innemu podmiotowi niż podmiot wskazywany przez uczestnika, jako ten, którego działania pacjent kwestionował, nie znajdowało – w okolicznościach stanu faktycznego sprawy – podstawy prawnej i uzasadnienia. Z niekwestionowanych przez skarżącego i przyjętych przez Sąd ustaleń Prezesa UODO wynika, że powyższe udostępnienie było wynikiem błędu pracownika Biura [....]. Prezes UODO przyjął wyjaśnienia [....], że przyczyną naruszenia był błąd pracownika, który przekazał wystąpienie do podmiotu leczniczego mającego siedzibę na tej samej ulicy. Jak wynika z opisanego przez organ i niekwestionowanego stanu faktycznego, w niniejszej sprawie do ujawnienia danych osobowych uczestnika postępowania doszło w wyniku błędu pracownika [....] i choć było to działanie incydentalne, to nie zmienia zdaniem Sądu tego, że nastąpiło bez podstawy prawnej, a administrator ponosi za nie odpowiedzialność. Zgodnie z art. 29 RODO, podmiot przetwarzający oraz każda osoba działająca z upoważnienia administratora lub podmiotu przetwarzającego i mająca dostęp do danych osobowych przetwarzają je wyłącznie na polecenie administratora, chyba że wymaga tego prawo Unii lub prawo państwa członkowskiego. W ocenie Sądu nie ulega wątpliwości, że gdy dochodzi do ujawnienia danych osobowych przetwarzanych przez pracodawcę w wyniku działań jego pracownika, wykonywanych w ramach obowiązków służbowych tego pracownika, odpowiedzialność za tego rodzaju naruszenie ponosi pracodawca. Taki zakres odpowiedzialności pracodawcy za działania pracownika na gruncie RODO jest wówczas w istocie tożsamy z zakresem odpowiedzialności pracodawcy za szkody wyrządzenie przez pracownika na gruncie przepisów ustawy z dnia z dnia 26 czerwca 1974 r. Kodeks pracy (Dz. U. z 2023 r. poz.1465, z późn. zm.). W niniejszej sprawie do nieuprawnionego ujawnienia danych osobowych uczestnika postępowania doszło w wyniku błędu pracownika, a tym samym był to efekt działania administratora, choć było to działanie o charakterze przypadkowym. Odpowiedzialność [....] jako administratora nie jest tym samym wyłączona w przypadku stwierdzenia naruszenia (wskutek np. błędu, czy niedopatrzenia pracownika). W rozpoznawanej sprawie przetwarzanie danych osobowych (polegające na ich udostępnieniu) nie mieściło się w katalogu przesłanek zawartym w powołanych już wyżej przepisach RODO. Organ prawidłowo zakwalifikował powyższe zdarzenie jako przetwarzanie danych osobowych bez podstawy prawnej. W niniejszej sprawie doszło do ujawnienia danych osobowych wrażliwych uczestnika podmiotowi nieuprawnionemu (podmiotowi, co do którego uczestnik postępowania nie zgłaszał żądania podjęcia działań przez [....]). Działanie administratora stanowiło w niniejszej sprawie również naruszenie zasady przetwarzania danych, tj. zasady zgodności z prawem. Zgodnie z art. 5 ust. 1 lit. a RODO, dane osobowe muszą być przetwarzane m.in. zgodnie z prawem (lit. a). W niniejszej sprawie doszło do nieuprawnionego ujawnienia danych osobowych uczestnika podmiotowi [....], zatem dane nie były w tym zakresie przetwarzane przez [....] zgodnie z prawem, co świadczy o naruszeniu powołanej zasady. Odnosząc się do zarzutów skargi dotyczących naruszenia art. 24 ust. 1 i 2 oraz art. 32 ust. 1 i 2 RODO poprzez ich niezastosowanie, Sąd wskazuje, że w sprawie tej, z indywidualnej skargi podmiotu danych, organ nie prowadził postępowania w celu ustalenia, czy [....] wdrożył odpowiednie środki techniczne i organizacyjne w celu zapewnienia stopnia bezpieczeństwa odpowiadającego ryzyku naruszenia, albowiem nie to było przedmiotem postepowania przed Prezesem UODO. Organ nie naruszył zatem powołanych przepisów. Przepis art. 24 znajduje się w Sekcji 1 rozdziału IV RODO "Administrator i podmiot przetwarzający" i wskazuje w ust. 1, że uwzględniając charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie i wadze, administrator wdraża odpowiednie środki techniczne i organizacyjne, aby przetwarzanie odbywało się zgodnie z niniejszym rozporządzeniem i aby móc to wykazać. Środki te są w razie potrzeby poddawane przeglądom i uaktualniane. Stosownie do ust. 2 jeżeli jest to proporcjonalne w stosunku do czynności przetwarzania, środki, o których mowa w ust. 1, obejmują wdrożenie przez administratora odpowiednich polityk ochrony danych. Stosownie do ust. 3, stosowanie zatwierdzonych kodeksów postępowania, o których mowa wart. 40, lub zatwierdzonego mechanizmu certyfikacji, o którym mowa wart. 42, może być wykorzystane jako element dla stwierdzenia przestrzegania przez administratora ciążących na nim obowiązków. Zgodnie zaś z art. 32 ust. 1 RODO, umieszczonym w Sekcji 2 tego rozdziału "Bezpieczeństwo danych osobowych", uwzględniając stan wiedzy technicznej, koszt wdrażania oraz charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie wystąpienia i wadze, administrator i podmiot przetwarzający wdrażają odpowiednie środki techniczne i organizacyjne, aby zapewnić stopień bezpieczeństwa odpowiadający temu ryzyku, w tym między innymi w stosownym przypadku: a) pseudonimizację i szyfrowanie danych osobowych; b) zdolność do ciągłego zapewnienia poufności, integralności, dostępności i odporności systemów i usług przetwarzania; c) zdolność do szybkiego przywrócenia dostępności danych osobowych i dostępu do nich w razie incydentu fizycznego lub technicznego; d) regularne testowanie, mierzenie i ocenianie skuteczności środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo przetwarzania. Zgodnie z ust. 2, oceniając, czy stopień bezpieczeństwa jest odpowiedni, uwzględnia się w szczególności ryzyko wiążące się z przetwarzaniem, w szczególności wynikające z przypadkowego lub niezgodnego z prawem zniszczenia, utraty, modyfikacji, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych. Zgodnie z ust. 3, wywiązywanie się z obowiązków, o których mowa w ust. 1 niniejszego artykułu, można wykazać między innymi poprzez stosowanie zatwierdzonego kodeksu postępowania, o którym mowa w art. 40 lub zatwierdzonego mechanizmu certyfikacji, o którym mowa w art. 42. W sprawie niniejszej Prezes UODO nie kwestionował działań podejmowanych w Biurze [....] w zakresie przeprowadzonego postępowania wyjaśniającego i ustalenia, że przyczyną naruszenia był błąd pracownika, działań wskazanych przez [....] w zakresie ochrony danych osobowych. Powołanie się przez skarżącego na fakt obowiązywania w Biurze [....] "Polityki Ochrony Danych Osobowych w Biurze Rzecznika Praw Pacjenta" wprowadzonej Zarządzeniem nr [....] z dnia [....] maja 2022 r. oraz "Instrukcję zarządzania systemem informatycznym służącym do przetwarzania danych osobowych w Biurze Rzecznika Praw Pacjenta" nie zmienia ustalonego faktu nieuprawnionego (incydentalnego) ujawnienia danych o stanie zdrowia uczestnika postępowania podmiotowi, którego działanie nie było kwestionowane przed [....] przez tego uczestnika. Skarżący powołując się na wyrok NSA z dnia 9 lutego 2023 r. sygn. akt III OSK 3945/21 wskazuje, że zgodnie z utrwalonym orzecznictwem sądów administracyjnych wypełnienie wymogów wskazanych w art. 32 RODO uniemożliwia zastosowanie sankcji administracyjnej za naruszenie przepisów o ochronie danych osobowych. Ma zatem zdaniem skarżącego znaczenie, czy podmiot dochował odpowiedniego, w danych okolicznościach, standardu środków bezpieczeństwa. Odnosząc się do powyższego wskazania wymaga, że powołany wyrok NSA z dnia 9 lutego 2023 r. sygn. akt III OSK 3945/21 (orzeczenia.nsa.gov.pl) wydany został w sprawie o zupełnie innym stanie faktycznym i nie ma odniesienia do niniejszej sprawy. W powołanym wyroku Sąd wskazał, że "(...) sankcji administracyjnej za naruszenie obowiązków wskazanych w art. 32 RODO podlega nie ten, kto jako administrator albo podmiot przetwarzający dopuścił do nieuprawnionego przetwarzania danych osobowych, a tylko podmiot, który nie dochował odpowiedniego, w danych okolicznościach, standardu środków bezpieczeństwa. Karze nie podlega jednostka za nielegalne działanie osoby trzeciej (np. hakera), polegające na nieuprawnionym dostępie do danych przezeń przetwarzanych, a za dopuszczenie do tego dostępu w związku z nieodpowiednim poziomem stosowanych zabezpieczeń. O naruszeniu powołanego przepisu nie przesądza sama okoliczność nieuprawnionego dostępu do danych, ponieważ taki stan rzeczy jest potencjalnie możliwy do zaistnienia również przy dochowaniu najwyższego poziomu zabezpieczeń. (...). (...) "odpowiednie" na gruncie art. 32 ust. 1 RODO środki techniczne i organizacyjne, to nie środki skuteczne w każdym przypadku, a takie, których dochowanie mogło być w dacie i okolicznościach dostępu do danych osobowych, obiektywnie wymagane od danego podmiotu (administratora albo podmiotu przetwarzającego). (...) kara pieniężna z tytułu naruszenia art. 32 RODO nie ma charakteru automatycznego, tj. sankcji za nieuprawniony dostęp do danych osobowych na skutek czynu zabronionego popełnionego przez osobę trzecią. (...)". Sprawa niniejsza, ze skargi na decyzję z dnia [....] stycznia 2025 r., nie dotyczy oceny przestrzegania obowiązków określonych w art. 32 RODO. W sprawie niniejszej, o indywidualnym charakterze, Prezes UODO oceniał wyłącznie legalność procesu przetwarzania (udostępnienia) danych osobowych uczestnika postępowania w zakresie wskazanym w skardze, a po stwierdzeniu, że doszło do naruszenia, zasadnie udzielił upomnienia za to naruszenie. Nie można zatem czynić organowi w niniejszym postępowaniu zarzutu, że nie dokonał oceny stosowanych u [....] mechanizmów i procedur zapobiegających naruszeniom przepisów o ochronie danych osobowych. Kwestia oceny stosowania się przez pracowników do podjętych przez administratora działań nie czyni nieuprawnionym stwierdzenia, że w sprawie tej doszło do działania [....] polegającego na nieuprawnionym ujawnieniu danych (nieuprawnionemu, bo ujawnieniu podmiotowi w odniesieniu do którego [....] nie dysponował, w tym stanie faktycznym (rozpatrując konkretne zgłoszenie), podstawy do ujawnienia danych wrażliwych). W okolicznościach tej konkretnej sprawy udostępnienie danych osobowych uczestnika przez [....] na rzecz [...]nie pozostawało w związku z realizacją zadań nałożonych na [....], a zatem naruszało art. 5 ust. 1 lit. a i art. 9 ust. 2 RODO. Prawidłowo Prezes UODO stwierdził powyższe w zaskarżonej decyzji. Organ nie kwestionował twierdzenia [....], że udostępnienie danych miało charakter jednorazowy. Odnosząc się do zarzutów skargi dotyczących nieuwzględnienia, że [...]przetwarzał dane osobowe uczestnika przed ich udostępnieniem przez [....] i to, jak wskazano "w zakresie istotnie szerszym niż ten, jaki wynika z korespondencji otrzymanej z Biura Rzecznika Praw Pacjenta", a zatem, że [...]nie był podmiotem nieuprawnionym do przetwarzania tych danych, wskazać trzeba, że w sprawie tej organ, a tym samym i Sąd nie oceniał zgodności z prawem przetwarzania danych osobowych uczestnika postępowania przez [...]jako podmiot medyczny (w tym nie badał zakresu przetwarzanych przez niego danych uczestnika i podstawy prawnej). Sprawa niniejsza dotyczyła oceny zgodności z prawem przetwarzania danych wrażliwych uczestnika postępowania przez Rzecznika Praw Pacjenta, a nie przez inne podmioty. Uczestnik postępowania (wnioskodawca przed Prezesem UODO) domagał się bowiem wszczęcia postępowania wobec Rzecznika Praw Pacjenta za naruszenie RODO i wymierzenie Rzecznikowi kary pieniężnej za to naruszenie. W sprawie tej nie ma znaczenia dla odpowiedzialności [....], czy [...]przetwarzał kiedykolwiek, czy nie przetwarzał danych uczestnika. W sprawie niniejszej chodziło o ustalenie, czy [....] miał podstawę prawną do udostępnienia temu podmiotowi, w ustalonym ściśle w sprawie stanie faktycznym związanym ze zgłoszonymi przez uczestnika nieprawidłowościami w zakresie badań laboratoryjnych, danych o stanie zdrowia uczestnika. W sprawie jest bezsporne, że w okolicznościach faktycznych i prawnych tej sprawy [....] nie miał podstawy prawnej do udostępnienia [...]danych o stanie zdrowia uczestnika, co wyraźnie podkreślał sam uczestnik – wnioskodawca wszczęcia postępowania wobec [....]. W każdej sprawie prowadzonej przez Prezesa UODO ze skargi indywidualnej ocenia on konkretne przetwarzanie danych kwestionowane przez skarżącego, konkretne udostępnienie, a zatem konkretną "operację" na danych prowadzoną przez administratora. Z ustaleń organu wynika, że [...]zwróciła uczestnikowi pismo [....] zawierające jego dane osobowe wraz załącznikami. Powyższe nie oznacza, że Prezes UODO nie miał podstaw do zastosowania środka naprawczego w postaci upomnienia wobec [....]. Także okoliczność, że podmiot ten – będący podmiotem leczniczym - podlega szczególnemu reżimowi prawnemu dotyczącemu poufności danych medycznych, jak wskazywał skarżący, nie zmienia trafności rozstrzygnięcia organu. Przedmiotem tej sprawy nie jest ocena zgodności przetwarzania danych przez [....], czy stosowany przez ten podmiot stopień ochrony danych. Prawidłowo, w okolicznościach stanu faktycznego tej sprawy, Prezes UODO zastosował wobec [....] upomnienie. Zgodnie z art. 58 ust. 2 RODO każdemu organowi nadzorczemu przysługują wszystkie następujące uprawnienia naprawcze: a) wydawanie ostrzeżeń administratorowi lub podmiotowi przetwarzającemu dotyczących możliwości naruszenia przepisów niniejszego rozporządzenia poprzez planowane operacje przetwarzania; b) udzielanie upomnień administratorowi lub podmiotowi przetwarzającemu w przypadku naruszenia przepisów niniejszego rozporządzenia przez operacje przetwarzania; c) nakazanie administratorowi lub podmiotowi przetwarzającemu spełnienia żądania osoby, której dane dotyczą, wynikającego z praw przysługujących jej na mocy niniejszego rozporządzenia; d) nakazanie administratorowi lub podmiotowi przetwarzającemu dostosowania operacji przetwarzania do przepisów niniejszego rozporządzenia, a w stosownych przypadkach wskazanie sposobu i terminu; e) nakazanie administratorowi zawiadomienia osoby, której dane dotyczą, o naruszeniu ochrony danych; f) wprowadzanie czasowego lub całkowitego ograniczenia przetwarzania, w tym zakazu przetwarzania; g) nakazanie na mocy art. 16, 17 i 18 sprostowania lub usunięcia danych osobowych lub ograniczenia ich przetwarzania oraz nakazanie na mocy art. 17 ust. 2 i art. 19 powiadomienia o tych czynnościach odbiorców, którym dane osobowe ujawniono; h) cofnięcie certyfikacji lub nakazanie podmiotowi certyfikującemu cofnięcia certyfikacji udzielonej na mocy art. 42 lub 43, lub nakazanie podmiotowi certyfikującemu nieudzielania certyfikacji, jeżeli jej wymogi nie są spełnione lub przestały być spełniane; i) zastosowanie, oprócz lub zamiast środków, o których mowa w niniejszym ustępie, administracyjnej kary pieniężnej na mocy art. 83, zależnie od okoliczności konkretnej sprawy; j) nakazanie zawieszenia przepływu danych do odbiorcy w państwie trzecim lub do organizacji międzynarodowej. Zatem, zgodnie z art. 58 ust. 2 lit. b RODO, organowi nadzorczemu przysługuje uprawnienie udzielenia upomnienia administratorowi w przypadku naruszenia przepisów niniejszego rozporządzenia przez operacje przetwarzania. Organ wziął pod uwagę wyjaśnienia [....], że podjęta została decyzja o opracowaniu wytycznych dotyczących identyfikacji podmiotu leczniczego przez referenta sprawy oraz wysyłki korespondencji oraz, że z pracownikiem odpowiedzialnym za naruszenie została przeprowadzona rozmowa dyscyplinująca. Ustalenia te ujęte zostały w zaskarżonej decyzji. Zdaniem Sądu zastosowany środek jest adekwatny do stwierdzonego w decyzji naruszenia RODO. W motywie 129 RODO wskazano m.in., że "(...) Swoje uprawnienia organy nadzorcze powinny wykonywać zgodnie z odpowiednimi zabezpieczeniami proceduralnymi przewidzianymi w prawie Unii i prawie państwa członkowskiego, bezstronnie, sprawiedliwie i w rozsądnym terminie. W szczególności każdy środek powinien być odpowiedni, niezbędny i proporcjonalny, aby zapewnić przestrzeganie niniejszego rozporządzenia - z uwzględnieniem okoliczności danej sprawy, z poszanowaniem prawa do wysłuchania danej osoby przed zastosowaniem indywidualnego środka, który miałby niekorzystnie na nią wpłynąć, i bez nadmiernych kosztów i niedogodności dla danej osoby. (...)". Z kolei w motywie 148 RODO wskazuje się, że "Aby egzekwowanie przepisów niniejszego rozporządzenia było skuteczniejsze, należy za jego naruszenie nakładać sankcje, w tym administracyjne kary pieniężne - oprócz lub zamiast odpowiednich środków nakładanych na mocy niniejszego rozporządzenia przez organ nadzorczy. Jeżeli naruszenie jest niewielkie lub jeżeli grożąca kara pieniężna stanowiłaby dla osoby fizycznej nieproporcjonalne obciążenie, można zamiast tego udzielić upomnienia. Powinno się jednak zwrócić należytą uwagę na charakter, wagę oraz czas trwania naruszenia, na to, czy naruszenie nie było umyślne, na działania podjęte dla zminimalizowania szkody, na stopień odpowiedzialności lub wszelkie mające znaczenie wcześniejsze naruszenia, na sposób, w jaki organ nadzorczy dowiedział się o naruszeniu, na przestrzeganie środków nałożonych na administratora lub podmiot przetwarzający, na stosowanie kodeksów postępowania oraz wszelkie inne czynniki obciążające lub łagodzące." W ocenie Sądu organ wyjaśnił w stopniu wystarczającym dla oceny zgodności z prawem zaskarżonej decyzji, że zaszła podstawa do udzielenia upomnienia. Waga stwierdzonego naruszenia i jego charakter dawały podstawę do zastosowania właśnie upomnienia. W ocenie Sądu zastosowany środek jest adekwatny do uchybienia, w sprawie jest bezsporne, że do naruszenia RODO doszło. [....] sam wskazywał, że powyższe nastąpiło wskutek błędu pracownika. Prezes UODO wziął pod uwagę jednorazowy i nieodwracalny charakter naruszenia, co wyraźnie wskazano w decyzji, a także podmiot któremu ujawniono dane i okoliczności ujawnienia. Zasadnie organ uznał, że w okolicznościach faktycznych sprawy wystarczające jest udzielenie upomnienia [....] za naruszenie art. 5 ust. 1 lit. a oraz art. 9 ust. 1 RODO polegające na udostępnieniu danych osobowych uczestnika na rzecz podmiotu nieuprawnionego. Sąd zauważa, że wnioskodawca żądał w postępowaniu przed Prezesem UODO nałożenia na Rzecznika Praw Pacjenta kary pieniężnej (pismo wnioskodawcy z dnia [....] sierpnia 2024 r.), do którego to żądania Prezes UODO nie odniósł się w uzasadnieniu zaskarżonej decyzji, jednakże powyższe uchybienie przepisowi art. 107 § 3 k.p.a. nie daje w ocenie Sądu – w okolicznościach stanu faktycznego tej sprawy – podstaw do uchylenia zaskarżonej decyzji biorąc pod uwagę przedstawione w decyzji i wystarczające uzasadnienie zastosowania upomnienia. Dodatkowo wskazania wymaga, że prawodawca europejski w art. 83 ust. 2 RODO określił szczegółowo, jakie okoliczności powinny być brane pod uwagę przy wymierzaniu przez organ nadzorczy administracyjnych kar pieniężnych. Z kolei zastosowanie przez organ środka przewidzianego w art. 58 ust. 2 lit. b RODO nie wymaga dokonywania tego rodzaju szczegółowej analizy okoliczności związanych z naruszeniem przepisów o ochronie danych osobowych. Przepisy regulujące te spośród kompetencji organu nadzorczego, które służą nie tyle przywróceniu w rozpoznawanej sprawie stanu zgodnego z prawem (np. art. 58 ust. 2 lit c)-e) RODO), lecz mają służyć wzmocnieniu respektowania prawa o ochronie danych, poprzez oddziaływanie o charakterze upominawczym (art. 58 ust. 2 lit. b) RODO) bądź represyjnym (art. 58 ust. 2 lit. i) w zw. z art. 83 RODO), wskazują na uprawnienia, a nie obowiązki organu nadzorczego. Organ nadzorczy każdorazowo podejmuje decyzję odnośnie zasadności i celowości skorzystania z tych uprawnień, biorąc pod uwagę ich funkcję, zamierzony skutek i całokształt indywidualnych okoliczności sprawy. Przepisy te nie obligują organu do tego, aby w przypadku uznania skargi za zasadną zastosować konkretny instrument prawny w nich określony. Skorzystanie z takiego instrumentu jest uzasadnione i potrzebne o tyle, o ile może przyczynić się do wzmocnienia respektowania i egzekwowania przepisów RODO przy uwzględnieniu wymogu proporcjonalności, a także przewidywanej skuteczności stosowanego środka. W ocenie Sądu organ zastosował – w stanie faktycznym tej sprawy - adekwatny środek i uwzględnił treść powołanych już wyżej motywów 129 i 148 RODO, choć nie odniósł się do nich szczegółowo. Wobec zaistniałego naruszenia RODO organ nie miał przy tym podstaw do zastosowania np. ostrzeżenia, które znajdować może zastosowanie gdy Prezes UODO przewiduje możliwość naruszenia przez administratora lub podmiot przetwarzający przepisów przez planowane operacje przetwarzania. W sprawie niniejszej naruszenie już nastąpiło, co prawidłowo doprowadziło organ do udzielenia administratorowi upomnienia. Zdaniem Sądu zastosowany środek był w tej sprawie, wobec stwierdzonego naruszenia i w okolicznościach tej sprawy, odpowiedni i proporcjonalny. Mając powyższe na uwadze Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 ustawy - Prawo o postępowaniu przed sądami administracyjnymi, orzekł jak w wyroku.